Обнаружение аномалий с помощью Sigma-правил
Функциональность доступна на компьютерах, работающих под управлением операционных систем Windows 7 и выше или Windows Server 2008 R2 и выше при наличии активного лицензионного ключа Kaspersky Industrial CyberSecurity for Nodes с лицензионными объектами EDR Optimum и ICS Telemetry.
Для работы обнаружения аномалий с помощью Sigma-правил необходимо, чтобы были включены следующие компоненты: Постоянная защита файлов, Защита от эксплойтов, Откат вредоносных действий.
Sigma – это формат описания правил для обнаружения аномалий, с помощью которых Kaspersky Industrial CyberSecurity for Nodes анализирует данные внутренних событий и журналов событий. Правила, написанные в формате Sigma, называются Sigma-правилами.
Sigma-правила пишутся на языке YAML и имеют унифицированную структуру. Это позволяет специально созданным конвертерам формировать правила в синтаксисе различных SIEM-систем на основе Sigma-правил. Каждое Sigma-правило хранится в отдельном YAML-файле.
Коллекция Sigma-правил – набор Sigma-правил, определяющих схожие события.
Kaspersky Industrial CyberSecurity for Nodes анализирует данные внутренних событий и журналов событий на предмет аномалий с помощью коллекций Sigma-правил, поставляемых АО "Лаборатория Касперского"с базами приложения, и создаваемых пользователем коллекций Sigma-правил.
В зависимости от версии приложения, Kaspersky Industrial CyberSecurity for Nodes поддерживает работу с предустановленными коллекциями Sigma-правил, приведенными в таблице ниже.
Предустановленные коллекции Sigma-правил
Коллекция Sigma-правил | Версия приложения | |
|---|---|---|
4.5 | 5.0 | |
Обнаружение средств удаленного администрирования (RAT) |
|
|
Обнаружение аномалий для Emerson DeltaV |
|
|
Контроль учетных записей пользователей (UAC) |
|
|
Обнаружение аномалий для Siemens SIMATIC WinCC, Siemens TIA Portal, Siemens SIMATIC STEP 7 |
|
|
Обнаружение аномалий для Yokogawa CENTUM VP |
|
|
Аудит обмена файлами по сети и через съемные носители | – |
|
При использовании некоторых Sigma-правил приложение может вносить изменения в политику аудита безопасности защищаемого компьютера – части локальной политики безопасности Windows.
